CVE-2026-5034: Injeção de SQL em edit_costumer.php do code-projects Accounting System
A CVE-2026-5034 é uma falha de injeção de SQL no argumento cos_id do arquivo /edit_costumer.php do code-projects Accounting System 1.0, classificada como crítica com pontuação CVSS base 9,8 segundo a NVD. O registro indica que o ataque pode ser iniciado remotamente e que um exploit publicado pode ser usado. Não há versão corrigida listada e a CVE não consta no catálogo KEV da CISA.
Visão geral
A CVE-2026-5034 trata de uma fraqueza de injeção de SQL (CWE-89) no argumento cos_id processado por /edit_costumer.php, parte do componente Parameter Handler do code-projects Accounting System 1.0. O CNA é a VulDB e o registro foi publicado em 2026-03-29. O registro também lista o Sherlock Accounting System versão 1.0 como produto afetado.
Impacto
- A pontuação base da NVD é 9,8 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade no vetor.
- A VulDB também publicou pontuações menores em outras versões do CVSS, então a gravidade depende da fonte de pontuação considerada.
- Injeções de SQL podem, em geral, permitir leitura ou alteração de dados do banco. O efeito exato não é descrito no registro.
Produtos e versões afetados
- Code-projects Accounting System, versão 1.0.
- Sherlock Accounting System, versão 1.0, conforme listado no registro.
- Nenhuma outra versão foi identificada nas fontes consultadas.
Status de exploração
- O registro afirma que um exploit foi publicado e pode ser utilizado, e uma issue no GitHub está marcada como referência de exploit.
- A CVE não consta no catálogo KEV da CISA no registro.
- Não aparece nas fontes consultadas nenhuma exploração confirmada no mundo real.
- Os dados SSVC do registro indicam exploração em nível de prova de conceito e automatizável como sim.
Correção e mitigação
- O registro não lista versão corrigida nem correção do fornecedor. Verifique o site do fornecedor e a entrada da VulDB para atualizações.
- Restrinja o acesso à aplicação afetada a redes confiáveis até que uma correção ou mitigação adequada seja confirmada.
- Onde o código puder ser alterado, use consultas parametrizadas e validação rigorosa de identificadores como cos_id no servidor.
- Se a aplicação não puder ser corrigida, considere retirá-la de uso exposto à internet ou isolá-la.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de valores incomuns ou malformados em requisições para /edit_costumer.php.
- Observe mensagens de erro de banco de dados ou tamanhos de resposta anormais nesse endpoint.
- Verifique se as contas de banco usadas pela aplicação têm privilégios desnecessários.
Limitações das informações disponíveis
- O registro não informa o status de correção do fornecedor nem qualquer versão corrigida.
- Os passos exatos de exploração e os dados que poderiam ser afetados não são descritos.
- O valor EPSS do registro (0,00545) é uma estimativa de probabilidade e não confirma ataques ativos.
- A data EPSS do registro não é consistente com a data de publicação e deve ser verificada.
Perguntas frequentes
O que é a CVE-2026-5034?
É uma falha de injeção de SQL no argumento cos_id de /edit_costumer.php do code-projects Accounting System 1.0, conforme descrito no registro.
Existe correção disponível?
O registro não lista versão corrigida. Verifique o fornecedor e a entrada da VulDB para atualizações e aplique controles compensatórios enquanto isso.
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que a CVE não consta no KEV da CISA, e nas fontes consultadas não aparece exploração confirmada no mundo real. O registro afirma que existe um exploit publicado.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.